CVE-2026-7005
WIT SynApps Runtime 1.4.11 SSRF mediata dal browser tramite onboarding del controller
- Pubblicato
- 30 ott 2026
- Aggiornato
- 30 ott 2026
- Assegnazione CNA
- VulnCheck
- Evidenza osservata
- 30 ott 2026
CVSS primario
cvelist · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:NBasso · prossimi 30 giorni
- Percentile
- 2,1%
- Data del modello
- 2 nov 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
WIT SynApps Runtime fino alla versione 1.4.11 contiene una vulnerabilità di cross-origin request forgery mediata dal browser che consente agli attaccanti di fornire un indirizzo di destinazione arbitrario durante l'onboarding del controller, inducendo il browser della vittima a inviare richieste di discovery verso host specificati dall'attaccante su percorsi quali /easy/GUI/Skins/Default/SiteLogo e /easy/GUI/Skins/Default/Identity. Gli attaccanti possono sfruttare la raggiungibilità del browser della vittima per sondare indirizzi di loopback, hostname locali o host di rete accessibili solo internamente e avviare il flusso di enrollment verso istanze REDY, superando i confini di segmentazione IT/OT attraverso un percorso applicativo autorizzato.
Fonti
- ExploitsPoC
CVE originali, PoC di exploit e advisory di sicurezza con catene di vulnerabilità dettagliate, escalation dei privilegi e tecniche di container escape per penetration testing e ricerca.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.